MCP está reconstruindo sua autorização em torno de agentes em vez de pessoas nos navegadores

O Protocolo de Contexto do Modelo publicou um novo roteiro em 22 de agosto que nomeia seu modelo de autorização como um problema central: a especificação assume que um humano clica em aprovar em um navegador, enquanto os chamadores que aparecem em produção são agentes de nuvem e sub-agentes sem nenhum humano no meio. A lista de correções é explícita e incomumente concreta para um documento de roteiro, cobrindo tokens de prova de posse, federação de identidade de carga de trabalho, a concessão ID-JAG por trás da autorização gerenciada por empresas e troca de tokens padronizada. O post do roteiro enquadra todo o documento como um pensamento atual, em vez de compromissos firmes.

Fatos chave

• Cinco áreas prioritárias: primitivas de mensagens agenticas, unificação de transporte nativo HTTP, identidade de agente e segurança empresarial, primitivas melhoradas e automação de SDK.
• Publicado em 22 de agosto de 2026, como a sequência da especificação de 28 de julho que removeu sessões e o handshake de inicialização do núcleo do protocolo.
• A thread do Hacker News tinha 174 pontos e 127 comentários quando verificada, com os comentários principais criticamente afiados.
• Fonte primária: o post do roteiro e a página do roteiro.

Comece com o problema de segurança, porque é o que tem mais impacto. Um token portador funciona como um ingresso de cinema: quem o possui entra, e a porta não se importa quem o comprou. Isso é aceitável quando uma pessoa autorizou o ingresso um momento atrás em um navegador que controla. É muito menos aceitável quando o ingresso é passado de um orquestrador para um sub-agente para um servidor de ferramentas através de três redes, porque qualquer intermediário que o veja pode reproduzi-lo. Um problema de maio de 2026 no repositório MCP detalhou o caso: a falta de vinculação criptográfica do cliente significa reprodutibilidade, adulteração de solicitações, exposição a intermediários e identidade de cliente fraca. A prova de posse é a resposta padrão, e é equivalente a carimbar o ingresso com a impressão digital do portador, de modo que um ingresso roubado se torne inútil.

Isso importa mais à medida que os sistemas de agentes se tornam mais profundos. Quando um agente gera sub-agentes que chamam ferramentas que chamam outras ferramentas, cada salto é um lugar onde a autoridade pode ser encaminhada além do pretendido. Essa é a mesma fraqueza estrutural por trás da injeção de prompt auto-propagante que a Ground Truth cobriu, e é por isso que a contenção de agentes de IA se tornou sua própria disciplina. A abordagem da Cloudflare de nunca entregar uma chave a um agente é o mesmo instinto expresso como arquitetura em vez de protocolo.

A metade de transporte do roteiro é silenciosamente mais ambiciosa do que parece. O MCP quer que a semântica HTTP Streamable se torne a única vinculação para cada servidor, incluindo os locais, que descreve como HTTP sobre stdio. O objetivo é impedir que o MCP local e remoto se divida em dois dialetos que precisam de tratamento separado em cada cliente. Junto a isso, vêm mecânicas de cache que vão além de simples regras de tempo de vida para ordenação determinística de ferramentas e ETags nos resultados de chamadas de ferramentas, além de um escopo de capacidade explícito agora que o protocolo não mantém mais sessões. Há também um esforço para fazer três diferentes padrões de "o servidor ainda não terminou" se comporem adequadamente: Tarefas, assinaturas e notificações de progresso atualmente têm ciclos de vida, semânticas de cancelamento e superfícies de erro separadas.

Contexto para por que isso está acontecendo agora: a mudança drástica já ocorreu. A especificação de 28 de julho removeu o handshake de inicialização e o cabeçalho de sessão do núcleo, moveu os metadados do cliente para um campo por solicitação, tornou a descoberta opcional e empurrou as Tarefas para uma extensão, como a Ground Truth cobriu quando o MCP descartou o handshake. O roteiro de agosto é a equipe de limpeza. Você pode ver o custo da migração no rastreador de bugs: o MCP Inspector atualmente omite um cabeçalho agora necessário em chamadas de tarefas sobre HTTP Streamable, o que faz com que servidores rigorosos rejeitem as solicitações imediatamente.

A governança também mudou, e a mudança é fácil de perder. A Anthropic doou o MCP para a Fundação Agentic AI sob a Linux Foundation em dezembro de 2025. A documentação de governança agora descreve mantenedores principais e centrais nomeados, além de grupos de trabalho, com a participação ligada a indivíduos em vez de empresas. A Anthropic ainda participa fortemente; não detém mais controle unilateral formal. O roteiro também faz algo estruturalmente importante que ninguém está discutindo: propostas alinhadas com as cinco áreas prioritárias recebem revisão acelerada. Isso transforma o documento de uma descrição do futuro em um mecanismo que aloca a atenção dos mantenedores, o que significa que o processo agora é tão essencial quanto qualquer recurso único.

A caverna honesta é que a comunidade não está convencida. A thread do Hacker News está genuinamente dividida. Os apoiadores dizem que a reescrita sem estado torna gateways e registros muito mais fáceis de operar. Os críticos mais afiados dizem que o MCP é superengenheirado, que a manutenção de estado foi o pecado original, que o HTTP é uma escolha questionável para um barramento IPC local universal, e que REST simples mais um arquivo de habilidades mais OAuth comum teriam coberto a maioria dos casos reais sem nada disso. Nada disso é resolvido por um roteiro. O que o roteiro resolve é que o MCP pretende se tornar uma infraestrutura de produção, com as contas de migração que isso implica.

Originalmente publicado em Ground Truth, onde cada afirmação é verificada contra a fonte primária.